El bootkit UEFI BlackX aprovecha la vulnerabilidad Baton Drop para eludir Secure Boot

Un nuevo bootkit UEFI denominado BlackX, utilizado en una campaña de espionaje a comienzos de 2026, explotó la antigua vulnerabilidad Baton Drop para sortear la protección Secure Boot y cargar un controlador malicioso capaz de interferir con productos de seguridad de Kaspersky y Avast.

La operación se atribuye con un nivel de confianza medio a APT41, un grupo de amenazas patrocinado por el estado chino conocido también como Brass Typhoon, Wicked Panda y Barium. El hallazgo se produjo a principios de 2026 y afectó a agencias diplomáticas de Asia Central, en particular en Tayikistán, Uzbekistán y Turkmenistán.

Similitudes con BlackLotus

Los investigadores de Kaspersky analizaron el bootkit BlackX y encontraron paralelismos con BlackLotus, que circula en foros de hackers desde octubre de 2022 y que aprovechó la vulnerabilidad Baton Drop (CVE-2022-21894) para eludir Secure Boot. ESET confirmó en marzo de 2023 que BlackLotus explotaba Baton Drop y que, en aquel momento, podía comprometer incluso sistemas Windows 11 completamente actualizados.

Según Kaspersky, la implementación del exploit en BlackX es «notablemente similar» a la empleada por BlackLotus, lo que permite al atacante inscribir claves Machine Owner Keys (MOK) personalizadas y cargar archivos EFI arbitrarios para sortear las protecciones de Secure Boot. Sin embargo, BlackX se diferencia de BlackLotus en que despliega un controlador de kernel distinto y payloads posteriores diferentes. Kaspersky sugiere que BlackX pudo derivarse de la ingeniería inversa de BlackLotus o de su código fuente.

Aunque el código fuente de BlackLotus se filtró en julio de 2023, la publicación estaba incompleta. Los investigadores de Kaspersky descubrieron que algunas muestras de BlackLotus que analizaron contenían código ausente del repositorio público pero presente en el bootkit BlackX. Dado que el operador de BlackX no podría haber obtenido ese código del repositorio filtrado, los investigadores creen que el atacante hizo ingeniería inversa de BlackLotus o compró su código fuente.

Capacidades de BlackX

BlackX inyecta un controlador de kernel de Windows malicioso firmado con un certificado ya revocado emitido a una organización llamada Wenjiang District Mingyu Network Technology Service Studio. El controlador desactiva procesos relacionados con la seguridad y las devoluciones de llamada del registro, y manipula los proveedores de Event Tracing for Windows (ETW) para dificultar la monitorización.

Los investigadores señalan que algunos procedimientos de manipulación están configurados para ejecutarse solo si se detectan productos de Kaspersky o Avast en el host objetivo, y añaden que el mecanismo resulta ineficaz contra las soluciones de la compañía. El controlador también protege los archivos del bootkit interceptando las solicitudes de los usuarios para abrirlos y lanzando en su lugar la Calculadora de Windows.

Asimismo, su propósito es desplegar los siguientes payloads de espionaje en las máquinas infectadas:

Un RAT que utiliza Google Drive, OneDrive o Yandex.Disk para el mando y control (C2), con el fin de ejecutar payloads .NET y subir y descargar archivos.
OxiDLLRunner, una DLL ofuscada con OLLVM y cargada lateralmente por googleupdate.exe. Descifra v8_context_snapshot.bin para lanzar shellcode y un payload en Rust, que recupera plugins DLL desde archivetj[.]com y ejecuta sus funciones 'create_plugin' en hilos separados.

Parche insuficiente

Kaspersky afirma que todas las víctimas de BlackX utilizaban una versión de Windows completamente actualizada. No obstante, el bootkit tuvo éxito porque los administradores no activaron manualmente las revocaciones adicionales de Secure Boot.

«El parche para la vulnerabilidad Baton Drop está diseñado para revocar el certificado “Windows Production PCA 2011” utilizado para firmar componentes UEFI vulnerables», explica Kaspersky. «Sin embargo, esta revocación no ocurre automáticamente al instalar el parche: el usuario debe activarla manualmente».

Los investigadores consideran que se trata de una laguna en el proceso de actualización, ya que es muy poco habitual que los administradores realicen alguna acción manual después de aplicar una actualización de seguridad. Creen que el atacante aprovechó esta brecha en la mitigación y «decidió invertir tiempo en entender cómo funciona BlackLotus y crear una copia de este bootkit».

Las instrucciones para parchear por completo Baton Drop (CVE-2022-21894) están disponibles aquí. Los investigadores advierten de que la fecha de expiración del 19 de octubre de 2026 del certificado «Windows Production PCA 2011» no impide que los binarios vulnerables se carguen en sistemas Windows, a menos que los administradores añadan el certificado a una lista de bloqueo.

Solo el 37 % de las acciones se bloquean tras el acceso inicial

Las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes usan credenciales válidas, la prevención cae drásticamente. El Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.